个人信息侵权风险性损害的认定路径

杨垠红 章 彤

(福建师范大学法学院， 福建福州 350007)

一、问题的提出

传统侵权法认为没有损害发生，则无侵权救济的可能，损害是触发侵权法保护的前提要件。在德国学者Mommsen教授的损害差额说影响下，大陆法系国家普遍认为损害是获得赔偿的前提条件。广义差额说以法益世界中发生的全部的不利益的变更作为损害(1)韩世远：《合同法总论》，法律出版社，2011年，第778-779页。，狭义差额说则是以被害人在加害实践中所损失的利益为损害(2)王泽鉴：《损害赔偿》，北京大学出版社，2017年，第63页。。然而，大数据个人信息侵权中的损害不同于一般侵权，其不具有狭义上的确定性，这些损害往往不以受害人财产上的差额为必要，常常表现为信息泄露后未来可能引发的一系列风险，例如被非法泄露、利用的个人信息用于后续对用户主体的诈骗或敲诈勒索等犯罪活动。这些风险的确定性程度如何判定以及是否符合侵权责任损害成立的构成要件，在司法实践中存在巨大争议，大部分法院均以用户主体没有遭受现实损害为由驳回其诉讼请求。例如在朱烨与北京百度网讯科技有限公司隐私权纠纷案中，二审法院认为，虽然朱烨主张自己在此过程中感到恐惧、精神高度紧张，但没有提供证据证明对方造成实质性损害，法院难以认定损害是否发生，因此无法支持其损害赔偿请求。目前，我国《民法典》《个人信息保护法》及其他法律规范并未对此处损害作出清晰明确界定，故在大数据个人信息侵权中的损害是否包括风险性损害以及如何具体认定风险性损害，是研究的重中之重。

二、个人信息侵权风险性损害的特殊性及分类

(一)个人信息侵权风险性损害特质

根据传统理论，构成一般侵权损害赔偿中的损害应满足以下三个条件：一是损害须是侵害合法民事权利或利益的结果；二是损害达到一定的程度且仍有补救之必要；三是损害具有确定性，是一种客观存在，而非主观臆断(3)张新宝：《中国侵权行为法》，中国社会科学出版社，1998年，第93-94页。或对未来是否发生无充分把握的无稽推断。然而个人信息侵权风险性损害是指损害后果尚未发生，信息只有被非法使用的未来风险，区别于一般损害，其具有以下三大特点：一是潜伏性。不同于传统侵权损害，风险性损害往往不在侵权发生的当下显现，而是表现为个人信息泄露后存在被他人非法利用造成财产、精神损害的潜在威胁。(4)朱宣烨：《新时代个人信息民事保护路径研究——以存在第三方信息处理者情况下的民事责任分配为视角》，《法学杂志》2018年第11期。二是无形性。大数据背景下的个人信息侵权损害与财产损害不同，具有无形性，很少以具象化、可观测的形式出现，损害往往蕴藏于信息泄露或被利用的后续行为中，例如用户主体由于隐秘信息被泄露受到敲诈勒索产生的财产损害。信息泄露本身造成的损害难以观测，实践中往往根据泄露后引发的事件严重程度来反推是否发生个人信息侵权现象。三是不确定性。大数据下信息流通速度、处理频次惊人，在信息收集、处理、储存、运输、利用等任何一个环节均有可能发生损害，且在大数据信息处理过程中，由于自动化技术(例如算法)具有模糊性、不透明性及不可预测性的特点，用户主体对个人信息是否发生泄露以及是否会产生损害难以预先判断。

(二)大数据时代个人信息风险性损害分类

1. 外部风险性损害：预防性支出

由于个人信息具有可识别性与不可更改性，例如基因信息、生物识别信息等，此类信息一旦泄露将会给信息主体人身及财产安全带来极大隐患，尤其在指纹支付、面部识别支付极为发达的今天。为此信息主体常常需要采取预防措施，例如购买保险、信用状况监测等专门提供风险监控和管理的商业服务以此降低信息泄露可能带来的人身、财产风险，故此类支出也被称为预防性支出。具体是指，当信息泄露事件发生后，信息主体为应对信息泄露后可能产生的身份窃取、诈骗等下游犯罪，预先花费的时间、精力、金钱等支出，可被视为一种特殊类型的损害。

2. 内部风险性损害：焦虑恐惧等精神损害

恐惧焦虑属于心理学概念，投射到法学领域引发的便是精神损害。当个人信息泄露时，出于对信息过度流通的恐惧和对隐私被暴露的担忧，信息主体往往会陷入各种负面的、破坏性情绪里无法自拔，尤其当身份信息被盗窃后，可能产生长期性的对自身财务、就业、名誉等遭受损失的担心焦虑，造成一定的精神损害。这种精神损害是基于未来不确定风险产生的，不同于一般的精神损害。

三、个人信息侵权风险性损害的证成

根据我国《个人信息保护法》第69条规定，个人信息权益侵权以损害为前提，却未明确规定损害的类型，此处的损害究竟是指信息泄露本身还是信息泄露后产生的下游损害，究竟是指现实损害抑或风险损害尚未可知。有的学者认为，信息或数据泄露本身并不成立损害，只有侵害信息主体的其他民事权利受到侵害时才成立损害，负有侵权责任。(5)程啸：《论大数据时代的个人数据权利》，《中国社会科学》2018年第3期。有的学者认为，个人信息权益不同于绝对权，难以适用“权利被侵害即存在损害”规则(6)谢鸿飞：《个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化》，《国家检察官学院学报》2021年第5期。，风险损害是客观存在的。还有的学者认为，由于风险损害具有无形性的特点，应当对其进行损害推定。(7)徐明：《大数据时代的隐私危机及其侵权法应对》，《中国法学》2017年第1期。尽管理论界对风险性损害是否成立未有定论，但从主要理论的共同点看，更加灵活宽松地解释个人信息侵权案件中的损害要件已是信息时代的大势所趋，风险性损害纳入损害赔偿范畴具有一定的正当性与必要性。

(一)风险性损害符合风险社会治理的内在要求

风险不同于危险，其具有人为性、现代性、内生性、不确定性和系统性等特点(8)尼古拉斯·卢曼：《风险社会学》，孙一洲译，广西人民出版社，2020年，第43-51页。，在工业、科技现代化进程中，风险也在不断累积增多，工业社会在其自身系统风险拉动下，不可避免地转变为风险社会，大数据信息时代则是风险社会兼具现代化与科技化的2.0版本，具有工业化科技化、人为性系统性及缓解和分配风险损害的特性。根据中国互联网络信息中心《第49次中国互联网络发展状况统计报告》显示，截至2021年12月，有22.1%的网民遭遇个人信息泄露。2021年工信部累计检测208万款App，其中1549款存在违规行为，还有514款App对违规行为拒不整改。(9)CNNIC中国互联网络信息中心：《第49次中国互联网络发展状况统计报告》，http://www.cnnic.cn/n4/2022/0401/c88-1131.html，2022年4月1日。大规模个人信息泄露案件频发的背后，表明当前中国已具备风险社会的特质，但从个人信息侵权风险性损害是否成立未有定论来看，我国尚未做好应对信息风险社会的准备，在风险转化为下游损害之前，信息主体可以做什么以及是否可以要求损害赔偿等仍未可知，需要进一步推进风险社会下的法治化进程。

(二)风险性损害满足个人信息侵权救济的现实需要

在邓立荣与北京顺丰速运有限公司侵权责任纠纷案中(10)参见北京市第三中级人民法院(2020)京03民终2049号民事判决书。，由于邓某单位明确规定禁止兼职，顺丰速运泄露其兼职信息的行为导致邓某被原单位解雇，邓某要求精神损害赔偿，但法院认为原告缺少证据证明其因信息泄露饱受的精神痛苦，不予支持其赔偿请求。在付全贵与北京三快信息科技有限公司等网络侵权责任纠纷案中(11)参见北京互联网法院(2018)京0491民初1905号民事判决书。，原告付某因航空公司泄露其个人信息而遭受诈骗，请求被告赔偿经济损失及精神损害，法院认为原告无法证明自身在信息泄露及遭受诈骗后所承受的严重精神损害，判决不予支持其精神损害赔偿请求。从上述两个案件可以看出，目前我国对个人信息泄露造成的精神损害仍然严格遵照严重精神损害标准，对于信息泄露后的焦虑、恐惧情绪依旧采取不予认可态度，往往使用赔礼道歉的责任方式替代损害赔偿，但赔礼道歉与损害赔偿的救济效果是不同的，将部分风险性损害纳入个人信息侵权救济是更好维护受害人权益、健全我国损害赔偿制度的现实需要。

(三)风险性损害在其他领域已有实践

有关风险性损害的探讨并非始于个人信息领域，早在医疗、环境、毒物侵权三个领域，学界就对此进行了深入探讨与充分实践。例如在医疗损害责任领域，医生的正确诊断是治疗的前提，不当诊断行为造成的损害后果或许不会在诊疗过程中产生，但患者在未来遭受严重健康损害的风险却在不当诊断的行为当下就已出现。对于这种风险损害(risk damage)的认定目前尚未明确立法，但在域外已有部分司法实践对风险损害予以认可，例如在美国康涅狄格州最高法院审理的Petriello v.Kalman案中，医生的不当诊断行为导致原告有8%到16%的肠梗阻风险，法院表示支持原告的诉讼请求，判决被告予以赔偿。(12)See Petriello v. Kalman,576 A.2d 474(Conn.1990).例如在环境侵权领域，环境污染损害难以立即出现，往往以不可逆的趋势对未来环境生态造成破坏，对未来环境破坏风险性损害的预防与救济就显得尤为重要，故在我国“云南绿孔雀”案中，法院认为目前的施工行为会导致未来生态破坏，判决被告中止工程建设。(13)参见云南省昆明市中级人民法院(2017)云01民初2299号民事判决书和云南省高级人民法院(2020)云民终824号民事判决书。又例如在美国毒物侵权领域的Potter v.Firestone Tire and Rubber Company案中，原告由于常年居住在填埋有毒废物垃圾场周围，饱受未来可能罹患癌症的忧虑恐惧情绪之中，法院一改先前精神恐惧必须伴有身体损害的损害救济审查规则，判决被告应对尚未出现人身伤害的原告进行精神赔偿。(14)See Potter v. Firestone tire & Rubber Co.,863 P.2d 795(Cal.1993).

四、传统损害认定规则在风险性损害认定中遇到的桎梏

(一)传统损害概念难以解释风险性损害

传统损害概念以差额说为主要内容，从损害本体出发，对比个人信息侵权发生前后受害人财产状况与假设侵权尚未发生时存在多少差额。然而个人信息侵权案件中不仅仅存在财产损害，还有许多非物质性的风险损害，例如算法歧视、信息泄露、信息丢失等，这些风险损害往往不以财产差额为必要，存在无形性与不确定性等特征，甚至还有部分损害隐藏于个人信息泄露后的下游犯罪，例如诈骗、敲诈勒索等违法活动中。在因个人信息泄露导致侵权的案件中，显著、直接的物质性损害为少数，大多数损害往往为推定的、非显著的新兴损害(15)刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。，如果囿于传统差额说，受害人通常难以主张“财产上的差额”的证据，法院也通常认为此类损害属证明不能而不予支持其诉讼请求，在以实际损害为支点的损害赔偿规则下，个人信息侵权案件受害人往往难以获得全部赔偿。

(二)传统损害认定规则难以救济风险性损害

1. 外部风险性损害：预防性支出的赔偿正当性及损害赔偿范围尚未明确

对于预防性支出能否成为个人信息侵权领域认可的财产损害，学界仍存有争议。有的学者认为，信息主体为防止未来损害而预先支出的合理性开支属于财产损害，与信息侵权行为间具有因果关系，本质上属于财产损失(16)朱晓峰、夏爽：《论个人信息侵权中的损害》，《财经法学》2022年第4期。(17)田野：《风险作为损害：大数据时代侵权“损害”概念的革新》，《政治与法律》2021年第10期。；美国部分司法实践认为，所谓的预防性支出大多是信息主体的自我想象和主观臆测(18)谢鸿飞：《个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化》，《国家检察官学院学报》2021年第5期。，缺乏真实性，实践中易导致滥诉现象发生。由于维权成本与预防性支出存在差异的情况，我国在《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条第1款规定了制止侵权行为的合理开支(即维权成本)可作为财产损害获得损害赔偿，对于未来风险的预防性支出部分尚未明确定论，但预防性支出是客观存在的，目前我国在这部分仍存在损害赔偿的救济空白。

2. 内部风险性损害：“严重性”要件阻碍焦虑恐惧等精神损害救济

个人信息侵权损害既不同于身体损害具有直观性，亦不同于财产损失或毁坏这种便于估量的现实损害，其具有损害无形及不易测量等特点，由此导致法院常常将此类损害视为不可赔偿诉求。有关个人信息泄露导致的精神损害如何获得救济的问题，英国《个人数据保护》第168～169条明确指出，精神痛苦(distress)属于个人信息损失。(19)Data Protection Act2018,Article 168-169.美国法学会也于2020年《数据隐私法律原则》中明确规定情绪损害(emotional harm)和情绪寒蝉效益(chilling effect)属于个人信息领域可认定之损害。(20)ALI,Principles of the Law，Data Privacy，§14 (2020).国际上大多认可因个人信息侵权产生的情绪性损害，我国立法及司法解释对此尚未明确表态，目前只能以动态系统论的视角适用我国《民法典》的相关规定，即当人格权遭受侵害或有侵害风险时，受害人可以主张人格权请求权，当个人信息侵权损害业已发生时，受害人可以主张损害赔偿请求权。(21)王利明：《民法典人格权编中动态系统论的采纳与运用》，《法学家》2020年第4期。故根据我国《民法典》第1183条，是否达到“严重精神损害”是主张精神损害赔偿请求权的关键性因素，亦是如何认定个人信息泄露焦虑情绪的可能风险性损害的决定要素。精神损害赔偿严重性要件，已成为国内外风险性精神损害赔偿的最大障碍，各国通常都要求精神损害须达到“严重”程度才能获得赔偿。深受“身心二元论”影响的现代立法，往往将精神损害“严重性”程度与身体损害、身体疼痛以及人格权侵害相挂钩，精神损害沦为人身损害赔偿的附属品，纯粹精神损害在司法实践中难以获得认可。

五、个人信息侵权风险性损害的认定路径探索

(一)修正损害概念，承认风险性损害

有关个人信息损害概念修正的具体进路，学界提出多种主张。有的学者认为，个人信息暴露本身就是损害，无需再次作出界定(22)Maxwell E.Loos,“Exposure as Distortion:Deciphering ‘Substantial Injury’ for FTC Data Security Actions”, George Washington Law Review,vol.87,no.42(2019),pp.65-66.；有的学者认为，应将个人信息泄露后风险的升高视为损害(23)Jennifer Wilt,“Cancelled Credit Cards:Substantial Risk of Future Injury as a Basis for Standing in Data Breach Cases”,SMU Law Review,vol.71,no.2(2018),pp.615-621.转引自田野：《风险作为损害:大数据时代侵权“损害”概念的革新》，《政治与法律》2021年第10期。；还有部分学者主张，对个人信息领域的无形损害实行损害的推定或者对新型损害进行类型化研究(24)徐明：《大数据时代的隐私危机及其侵权法应对》，《中国法学》2017年第1期。。总之，传统差额说下的损害概念已经难以满足个人信息侵权救济的要求，对损害概念进行修正已是大势所趋。

在大陆法系，鲜有法条对抽象的损害概念作出具体定义，更没有针对风险损害的明确条文，辩证地看，这为损害概念的灵活解释与及时修正提供了更大可能。差额说在个人信息侵权领域的不完善并非在于差额说理念本身，而在于不应将差额单纯理解为加害人所需填补之份额，也不应将差额仅仅作为一种损害的计算公式。传统差额说将损害具象化为数额，表现为所受损害和所失利益两部分，由于个人信息侵权除了传统的财产性损害外，仍存在多种非财产性的新型损害，例如信息泄露后产生的诈骗、敲诈勒索等下游损害，我们应当在差额说的基础上，将“差额”理解为“状态差额”而非具体的数值差，应当以损害事件发生后的现实状态与损害事件没有发生的假设状态之间的“状态差额”作为个人信息侵权的损害概念内涵。

一方面，由于财产性损害与非财产性损害在可赔偿范围、赔偿目的和赔偿计算规则等方面存在较大差异，我们必须寻找二者损害变化之间的共性，以此更好地把握非财产性损害差额。对于财产性损害而言，如果损害是可观的，只需要比较损害事件发生前后加害人需要填补的数额即可；对于非财产性损害而言，裁判者通常需要根据精神损害的严重程度、受害人的个人因素等情况进行具体判断，难以计算出具体数额。但在损害事件发生与假设未发生二者之间，存在“状态回复”的空间，财产损害与非财产损害在“状态变化”层面存在共性，以“状态差额”为切入点能够最大程度地统合财产性损害与非财产性损害。另一方面，在判断损害是否存在时，不仅要考虑“状态差额”还需要考虑“状态差额”的填补是否为加害人填补所导致，若由第三人基于与受害人的身份关系进行填补，由于身份关系具有专属性无法惠及加害人，在判断状态差额时仍应将其考虑在内。如在亲属看护案件中，亲属看护病人后往往会因为其与受害人之间的情感、身份等因素放弃索要相应的护理费用，表面上受害人在护理部分难谓有差额产生，但因此类差额填补不惠及加害人，加害人依旧要对第三人基于亲属关系填补的损害承担责任。(25)王泽鉴：《损害赔偿》，北京大学出版社，2017年，第142页。

(二)建立统一的风险性损害认定规则

1. 明确预防性支出属于财产损害，确定预防性支出合理赔偿范围

(1)扩大解释维权费用，将部分预防性支出认定为财产损失

维权费用、预防性支出二者究其本质都是侵权法功能下的衍生产物，维权费用(制止侵权行为所支出的合理开支)的理论根基在于侵权法的补偿功能，而预防性支出则扎根于侵权法的预防功能。侵权法的预防功能和补偿功能之间本就难以分割、相辅相成，以求同存异的眼光来看，维权费用与预防性支出之间存在侵权法上的共同点，应当通过解释论，扩大解释维权费用的内涵，将合理的预防性支出纳入维权费用范畴。目前这一观点也得到域外立法支撑，例如在《欧洲侵权法原则》(PETL)第2:104条中规定：“为预防可能发生的损害而支出的合理费用应予以赔偿”，此规定的理由在于侵权法的目的不仅仅在于填补损害，还包括预防，二者之间存在紧密联系。(26)欧洲侵权法小组：《欧洲侵权法原则：文本与评注》，于敏、谢鸿飞译，法律出版社，2009年，第70页。所以，有学者认为无论是信息主体为维护自身权益还是为预防未来损害而支出的费用，都应作为财产损害获得赔偿。(27)李昊：《个人信息侵权责任的规范构造》，《广东社会科学》2022年第1期。同时扩大解释并不意味着全盘接受，并非所有的预防性支出均归入可赔偿的财产损失范畴，预防性支出是以未来风险为根基，应当将未来风险的确定性与紧迫性程度及预防性支出的合理性相挂钩，综合衡量预防性支出的必要性，减少滥诉情况的发生。

(2)划定风险区间，按照公允、可预期的标准确定预防性支出的合理赔偿范围

美国Clapper v. Amnesty International案的法官认为，预防性支出属于无源之水、无本之木，未来风险本就具有极大的不确定性，基于未来风险而产生的预防性支出自然存在极大的主观臆断性，但也有部分法院认为此类支出具有明显的利益差额，构成事实上的损害。争议的核心其实在于外部风险损害难以被评估和量化，因为财产损害赔偿最重要的就是可量化的利益差额，风险的不确定性模糊了预防性支出的可赔偿性。那么，风险真的难以把握和量化吗？在个人信息的实际处理过程中，信息处理者往往要对信息处理活动进行风险评估，并根据评估结果对不同的信息数据作出高风险或低风险的处理行为，由此可见，个人信息的外部风险损害并非真的完全难以量化(28)Daniel J.Solove & Danielle Keats Citron,“Risk and Anxiety:A Theory of Data-Breach Harms”,Texas Law Review,vol.96,no.4(2018),pp.737-786.，是可以在区间范围内达到风险“显形”效果的，故如何划定风险区间是外部风险能否获得赔偿的痛点与难点。

划定风险区间的关键在于如何切断风险链条，找到风险的不确定性与客观性之间的平衡点。实践中常见的诉讼请求理由是降低风险的预防性支出，可以将其作为切入点，以公允、可预期的标准寻找风险链条。由于个人信息处理过程的复杂性与技术性，信息泄露往往是通过一些对信息主体不利的客观事件(未达到下游损害程度)显现，例如骚扰电话、诈骗短信，信息主体只有在这些事件发生后才会意识到信息出现泄漏。出于自我保护意识，信息主体大多会采取相应措施防止信息被进一步滥用，例如花费时间、金钱修改个人信息，必要时购买信用检测服务与相应保险，这些都属于经济损失。有法院认为这部分损失属于信息主体主观制造的成本，一刀切地否认一些必要预防措施的支出，极不利于信息主体自救，也会助长信息窃取的不正之风。法官应当按照正常人的日常生活标准衡量，赔偿范围按照信息的私密程度、信息的重要程度限定在必要的降低风险项目里，而超出公允、可预期的部分不予赔偿。

2. 运用动态系统论和场景论，促进“严重性”要件认定的动态化、场景化

(1)运用动态系统论，动态划定严重精神损害评价要素

动态系统论由奥地利法学家威尔伯格提出，强调通过要素的多元化与层次化，发挥要素之间的互补与协作作用。区别于大陆法系维持已久的潘德克吞体系，即三段论推理，动态系统论不再囿于“细致、固定、割裂”的各个构成要件(A+B式)，而是综合考量要素之间的关系(A×B式)(29)赵亚宁：《个人信息私法保护动态系统论》，《仲裁研究》2020年第3期。，在法律规定的动态范围内作出判断。我国《民法典》人格权编中多个条款正式明确采用动态系统论的立法指导思想(30)王利明：《〈民法典〉人格权编的立法亮点、特色与适用》，《法学适用》2020年第17期。，并逐渐渗透扩展到个人信息领域。由于个人信息风险性损害本就具有无形性、不确定性、动态性特点，更加应当用动态视角考量损害评价要素及相互间关系。具体而言，一是根据个人信息特性，促进个人信息精神损害评价要素的多元化。个人信息法益保护具有多元性，损害评价要素的确定应当结合法益保护特性。目前《民法典》第998条位于人格权编，仅仅是从人格权侵害角度确定了行为人和受害人的职业，影响范围，行为目的、方式、后果三要素，忽略了个人信息区别于具体人格权的特性以及信息私密程度对个人信息侵权的影响。应当在《民法典》第998条规定的三要素基础上加上“私密程度”这个特别要素，辅助个人信息损害认定。二是在以上四个损害评价要素的基础上，根据动态系统论，结合要素价值位阶来推动损害评价要素的层次化。(31)周晓晨：《过失相抵制度的重构——动态系统论的研究路径》，《清华法学》2016年第4期。行为人和受害人的职业应当优先考量，接着是影响范围和行为目的、方式、后果，最后是个人信息的私密性程度。因为行为人和受害人的职业决定了行为人与受害人在本类案件中对信息的垄断程度与优劣地位，从一般的个人信息侵权案件来看，由于此类案件大多具有技术先进、损害无形的特点，受害人难以从技术、具体损害层面掌握损害证据，例如算法歧视、算法黑箱导致的个人信息泄露，行为人处于技术垄断或职权优势地位，受害人难以充分举证，法院往往不予支持受害人的诉讼请求，故应当将职业要素作为第一顺位，若二者之间差距过大，实践中应适当放宽举证标准，综合考量损害是否发生。影响范围和行为目的、方式、后果属于常规性的损害评价要素，根据一般的损害赔偿法理论，应当先考虑案件影响范围，再结合具体行为判断损害是否发生。三是个人信息私密性程度，由于不同的个人信息存在不同的私密性程度，甚至在特定情况下，例如应对公共紧急事件时部分个人信息将不具有私密性，应当将私密性作为一种特殊评价要素进行兜底性评价，并按照“合法公开的信息—个人普通信息—个人私密信息”的分级模式对个人信息私密性程度进行划分。最后要结合场景论，把握精神性风险损害具体场景，判断不同场景下具体要素的满足程度，实现要素间的紧密互补。

(2)结合场景论，把握不同场景下损害评价要素的程度及相互关系

由于个人信息保护法益具有多元性和场景性特点，且个人信息侵权案件往往涉及敏感信息与一般信息，仅仅依靠动态系统论抑或场景论，依旧难以真正实现对法益的区分保护，故个人信息保护所要做的并非划定一条固定的权利边界，而是应当将个人信息侵权问题置于具体的信息流通场景下理解，具体分析各损害评价要素的程度与相互关系，实现“场景性公正”，保证在不同场景下实现信息的合理流通。具体应用时要排除毫无根据的主观臆断，应以场景化、类型化的方式，甄别不同场景、类型下的关键考量因素(32)吕颖：《个人信息侵权损害认定规则探析》，《人民法院报》2020年12月3日，第7版。，在个案中认定“实质性”与“非实质性”风险。

第一，因私密信息暴露产生的精神性高度风险损害。比较法上通说认为，“私密信息暴露”本身便是损害。(33)Maxwell E.Loos,“Exposure as Distortion:Deciphering ‘Substantial Injury’ for FTC Data Security Actions”, George Washington Law Review,vol.87,no.42(2019),pp.65-66.根据《民法典》规定，私密信息具有不愿为人知晓的特性，其与隐私权之间既有联系又不完全相同(34)周汉华：《平行还是交叉——个人信息保护与隐私权的关系》，《中外法学》2021年第5期。，对私密状态的破坏行为本应受到规制，同时私密信息泄露后发生下游犯罪的可能性极高，例如盗用身份信息产生的欺诈现象，更应对此种损害采用严格的认定标准。实际上，对私密信息泄露行为本身进行法律约束的实践，在我国已有先例。对比《民法典》第1226条与《侵权责任法》第62条，前者删除了“造成患者损害”这一条件，医疗机构或其医务人员泄露患者隐私和病历资料的行为一旦发生，即需承担侵权责任，泄露本身便构成损害。故在私密信息受到侵犯的情况下，只需考量信息的私密性程度这一要素，私密性程度越高，“严重性”标准应当越低。

第二，因普通个人信息侵权产生焦虑情绪的可能风险性损害。损害赔偿视域下的精神损害主要分为两种形态：一是身体受损；二是精神受损，但限于特定情形。逆推精神损害赔偿的两种形态，“严重性”要件其实是一种推定概念，并非客观陈述，即法律认为只要身体损害或特定行为导致的精神损害达到一定程度，受害者的精神损害必然达到可获赔偿的“严重性”标准。(35)谢鸿飞：《个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化》，《国家检察官学院学报》2021年第5期。立法者采用这一做法有其考量，因为精神损害本身往往难以具象化测量，只能通过导致精神损害的先前行为进行观测。这一做法有利亦有弊，弊端在于个人信息在泄露初期未发生下游侵害时，大多数受害人备受焦虑却未达到人格权被侵犯程度，此时精神损害难以得到充分救济。

在具体考量损害评价要素之前，在大方向上应适度放宽《民法典》第1183条的损害认定标准。原因在于：一是在比较法上有关精神损害程度的认定要件渐趋缓和。例如欧盟的《一般数据保护条例》第82条第1款中，对可获得赔偿之损害均未设定“严重”或“明显”要件且此处的损害是指广义损害，包括社会歧视、精神压力等内涵；又如美国的Clapper v.Amnesty International案中，持不同意见的美国联邦最高法院也曾坦言，若能证明损害具有“客观合理的可能性”，即可认定存在损害。(36)See Clapper v．Amnesty International USA，133S．Ct．1138，1146(2013).过于严苛地遵守“严重”或“明显”之标准恐将大部分因未来风险而产生的焦虑损害赔偿拒之门外。二是因噎废食式地回避与未来风险交织在一起的精神损害风险，不利于被害人获得救济的同时也不利于日后数据主体与平台之间的数据共享。在大数据泄露案件中，约有40%的案件判决受害人败诉，其中法院给出占比最高的理由是受害人未能证明实际所受之损害(37)叶名怡：《个人信息的侵权法保护》，《法学研究》2018年第4期。，数据泄露案件的频发及司法救济的无力，将导致愈来愈多的数据主体出于对数据泄露的担忧而拒绝数据共享，阻碍数字社会的进一步发展。

适当放宽《民法典》第1183条精神损害认定标准意味着不拘泥于法条字面含义，医学上的精神损害证明与精神损害赔偿之间的充要关系，并非所有的精神损害赔偿都必须具备医学上的损害证据才能获得。应当根据受害人具体情形判断损害是否达到客观合理程度，避免以唯医学诊断的方式认定焦虑情绪等可能的风险性损害；另外，应当在正确理解医学诊断与精神损害证明的基础上，运用动态系统论具体分析各个评价要素。首先，是行为人和受害人的职业，个人信息侵权案件中产生的风险性损害，很重要的原因在于行为人和受害人的职业、职权，导致双方对损害技术的掌握存在不对等。从其他领域的风险性损害来看，均是如此。例如在医疗卫生领域，风险性损害多产生于医生与患者间，患者常常由于自身医疗知识的匮乏难以发现医生在诊断过程中的失误；再如环境侵权领域受害人由于缺乏环境技术检测手段，往往只能在环境损害表见于外在或人体时才能意识到损害已然发生。行为人和受害人在职业技术领域的不对等性，再加上个人信息与大数据的紧密结合，损害的发现更加依赖受害人对网络技术的掌握。所以，当行为人相对于受害人对个人信息的垄断度过高、优势性过强时，应当降低精神损害严重性证明标准，切实考虑受害人所能获取精神损害证据的程度。并且若行为人是在履行公务或提供服务过程中故意泄露信息给他人，应酌情加倍计算受害人损失，但不应超过隐私权损害赔偿标准。其次，是考虑事件的影响范围，个人信息涉及收集、处理、储存、运输等多个环节，实践中需要综合考量案件涉及的环节及影响范围，因为影响范围是损害严重程度最直观的反映(38)张建文、时诚：《个人信息的新型侵权形态及其救济》，《法学杂志》2021年第4期。，当影响范围越广时，法院更易获得损害存在的证明，信息主体也更易受到救济。再次，是行为目的，这里主要是结合故意和过失来考量是否需要放宽严重性标准。最后，是方式、后果，个人信息侵权形式多样、后果各不相同，如果已经产生下游损害，此时不再围绕风险性损害进行探讨，而应将其吸收进下游损害后果中进行损害赔偿，若产生的后果并非属于法律意义上的可赔偿性损害，当精神损害依旧是受害人获取损害赔偿的唯一途径时，我们应当根据侵害行为和侵害后果决定是否放宽严重性标准。就行为方式而言，信息处理者的行为方式越脱离公众的合理期待，损害发生的概率就越大，在这种高概率损害发生的情形下，如果精神损害仍旧无法证明，就要适当放宽严重性标准。同样，侵害后果越严重，精神损害发生的概率就越高，对于暂无法证明的高概率、高确定性的精神风险，应当放宽严重性标准。以上所说“放宽严重性标准”并非意味着受害人无需提供具体精神损害证据，受害人仍需要提供证明精神损害的初步证据，包括因恐惧焦虑情绪受到的某些伤害或日常生活受到妨碍等的证据，只是不要求其证据达到证明心理疾病的程度。

六、结语

习近平同志强调：“网络信息是跨国界流动的，信息流引领技术流、资金流、人才流，信息资源日益成为重要生产要素和社会财富。”(39)《总体布局统筹各方创新发展 努力把我国建设成为网络强国》，《人民日报》2014年2月28日，第1版。大数据个人信息技术作为各国竞相争夺的技术高地，我国在提升科技实力的同时也必须做好法律的后援保障工作。个人信息侵权下的损害认定问题一直是受害人是否能够得到切实充分救济的最大障碍。从宏观角度，修正差额说下的损害概念有助于把握数字经济时代出现的个人信息侵权风险性损害问题，为其提供解决路径与法理基础；从微观角度，根据风险性损害的分类及特性，制定不同损害下的具体认定规则是提高对数据主体个人信息保护的前提和基础，运用场景化要素化的方式具体认定损害有助于个案分析，以便将目前常见的游离于法律边线上的矛盾问题纳入个人信息法律规制之下。